回顾信息安全的发展历程

回顾信息安全的发展历程

Jack zhai

<?xml:namespace prefix = o ns = "urn:schemas-microsoft-com:office:office" />

 

 

信息安全的概念的出现远远早于计算机的诞生，但计算机的出现，尤其是网络出现以后，信息安全变得更加复杂，更加“隐形”了。现代信息安全区别于传统意义上的信息介质安全，是专指电子信息的安全。

随着 IT 技术的发展，各种信息电子化，更加方便地获取、携带与传输，相对于传统的信息安全保障，需要更加有力的技术保障，而不单单是对接触信息的人和信息本身进行管理，介质本身的形态已经从“有形”到“无形”。在计算机支撑的业务系统中，正常业务处理的人员都有可能接触、获取这些信息，信息的流动是隐性的，对业务流程的控制就成了保障涉密信息的重要环节。

从信息安全的发展历程来看，安全保障的理念分为下面几个阶段：

1、  面对信息的安全保障

计算机网络刚刚兴起时，各种信息陆续电子化，各个业务系统相对比较独立，需要交换信息时往往是通过构造特定格式的数据交换区或文件形式来实现，这个阶段从计算机诞生一直延续到互联网兴起的九十年代末期。

面对信息的安全保障，体现在对信息的产生、传输、存储、使用过程中的保障，主要的技术是信息加密，保障信息不外露在“光天化日”之下。因此，信息安全保障设计的理念是以风险分析为前提，如 ISO13335 风险分析模型，找到系统中的“漏洞”，分析漏洞能带来的威胁，评估堵上漏洞的成本，再“合理”地堵上“致命”漏洞，威胁也就消失了。

然而风险的大小，漏洞的危害程度是随着***技术的进步而变化的，在大刀长矛的冷兵器时代，敌人在几十米外你就是安全的，到了大炮、机枪的火器年代，几白米、几十公里都可能成为***的对象，而到了激光、导弹的现代，即使你在地球的另一端，也可能随时成为被***的对象。所以面向信息的安全，分析的漏洞往往是随着***技术发展、***技术进步而变化的，一句话，就是被动地跟着***者的步调，建立自己的防御体系，是被动的防护。更为严酷的是：随着***技术的发展，你与敌人的“安全距离”越来越大，需要你的眼睛具有越发强大的目力 --- 因为监控不到敌人的动向，你就无从谈起安全。

在信息安全的阶段，安全技术一般采用防护技术，加上人员的安全管理，出现的最多的是防火墙、加密机等，但大多边界上的防护技术都属于识别***特征的“后升级”防护方式，也就是说，你在***者来之前升级自己了，就可能防止他的***，若没有来得急升级，或者没有可升级的“补丁”，你的系统就危险了。面对加密技术的暴力破解也随着计算机的速度发展，让加密系统的密钥长度越来越长。

2、  面向业务的安全保障

如果说对信息的保护，主要还是从传统安全理念到信息化安全理念的转变过程中，那么面对业务的安全，就完全是从信息化的角度考虑信息的安全。到了 04 、 05 年，互联网已经深入到社会的各个角落，网络成了人们工作与生活的“信息神经”，人们发现各种工作已经脱离传统的管理模式，进入到世纪初还是梦想的“无纸化”办公时代，此时计算机的故障、网络的中断已经不再是 IT 管理部门的小事件，往往是整个企业的大故障，有些金融、物流、交通等企业，网络的故障完全可以导致企业业务的中断，企业的停业。

此时，需要保护的信息不再只是某些文件，或者某些特殊权限目录的管理，而是用户的访问控制、系统服务的提供方式，此时要保障的不再只是信息，而是整个业务系统，以及业务的 IT 支撑环境，业务本身的安全需求，超过了信息的安全需求，安全保障自然也就从业务流程的控制角度考虑了，这个阶段我们称为面向业务的安全保障。

从美国的 SOX 法案要求对系统信息的审计，到日益完善的各种行业信息系统保障技术要求，都不再是针对某些安全新技术，而是面对整个信息系统的保障要求。在国内比较突出的就是公安部发布的非涉密信息系统的等级保护，国家保密局发布的涉密信息系统的分级保护，相继颁布了技术与管理标准，并建立完善的测试、评估标准，并对一些涉及国家经济基础性产业的基础信息系统，如交通、金融等，要求强制性保护。

系统性的安全保障理念，不仅是关注系统的漏洞，而且从业务的生命周期入手，对业务流程进行分析，找出流程中的关键控制点，从安全事件出现的前、中、后三个阶段进行安全保障。具体的保障设计，“花瓶模型”给了我们一个清晰的设计框架，把安全保障分为防护技术、监控手段、审计威慑三个部分，其中防护技术沿用信息安全的防护理念，同时针对“防护总落后于***”的现状，全面实施系统监控，对系统内各个角落的情况动态收集并掌握，任何的风吹草动都及时察觉，即使有危害也减少到最小程度，***没有了“战果”，也就达到了防护的目的；另外，针对网络事件的起因多数是内部人员，采用审计技术可以取证追究，是震慑不法小人的恶意滋生的“武器”。

面向业务的安全保障不只是建立防护屏障，而是建立一个立体的“陆海空”防护体系，通过更多的技术手段把安全管理与技术防护联系起来，不再是被动地保护自己，而是主动的防御***，也就是说：面向业务的安全防护已经从被动走向主动，安全保障理念从风险承受模式走向安全保镖模式。

3、  面向服务的安全保障

随着网络上业务系统越来越多，各个业务系统的边界逐渐模糊，系统间需要相互融合，数据需要互通交换，若能把多个业务系统的开发与运营统一到一个管理平台上来，不仅方便新业务的开发，而且可以缓解日益严重的运营维护危机，此时 Web2.0 技术出现了，不仅继承了免客户端维护的 B/S 架构、而且可以方便交互的方式促使业务模式的开发，很多软件公司把它作为 SOA( 面向服务的架构 ) 架构的实现基础。

说到 SOA ，也许是触动安全保障进一步转型的根源，我们先了解一下 SOA 。

SOA 是一个面向业务用户角度的开发构架，面向服务就是从最终用户的角度看待业务， IT 部门就是提供这种服务 --- 用来支撑用户的各种业务流程实现。 Web2.0 是支撑其实现的一个技术，而 SOA 的真正意图，是“生产”出业务实现的各种标准构件，方便地“软件积木”，在实现新业务时，只要利用“积木”重新构造一下就可以了，不仅可以大大降低开发的工作量，也大大提供了开发的效率，提高企业的敏捷性。

SOA 是一种软件技术的新思路，是从传统的模块化编程、面向对象的编程中一步一步走过来的，如果说模块化结构思想是过程与函数等“代码片段”的打包，那么面向对象编程就是把过程与数据共同打包的“程序片段”，而 SOA 的目标就是把不同程序片段组成的业务中的“流程片段”，或者是流程组件打包，实现软件开发不再是专业软件人员的工作，而是业务使用人员的“自助式组装”，实现软件开发的 DIY(Do it yourself) 。所以说， SOA 思想是软件业真正把软件推广为“全民化”的梦想。

软件开发的模式改变了，对业务流程的分析方式也就不同了，因为“流程片段”对于使用者来说是组件积木，也是只关心其外部功能的“黑箱”，安全保障不仅是组件间的环节控制，对组件本身的安全同样需要。对单个业务的安全保障需求演变为对多个业务交叉系统的综合安全需求， IT 基础设施与业务之间的耦合层度逐渐降低，安全也分解为若干单元，安全不再面对业务本身，而是面对使用业务的客户，具体地说就是用户在使用 IT 平台承载业务的时候，涉及该业务安全保障，由此，安全保障也从面向业务发展到面向服务。

面向服务的安全保障还有一层含义，随着业务的增多， IT 支撑平台成为公共的技术设施，安全的保障也分为公共网络的基础安全与业务本身的控制安全，而这两种安全需要有机结合，最终都是为了一个目标，就是为客户提供安全、可靠的业务服务。